Buletin Kerentanan CISA Berakhir: Analisis Triase Risiko

Di suatu tempat, seorang manajer kerentanan memiliki spreadsheet dengan lebih banyak sel merah daripada dinding tempat kejadian perkara. Selama bertahun-tahun, ritualnya sudah akrab: urutkan berdasarkan tingkat keparahan, panik dengan sopan, tugaskan tiket, dan berharap alam semesta berhenti menerbitkan CVE selama akhir pekan panjang. CISA kini menghentikan salah satu properti dalam ritual itu. Menurut pemberitahuan GovDelivery dari CISA, Vulnerability Bulletin mingguan akan dihentikan pada 28 September 2026, saat lembaga tersebut beralih dari manajemen kerentanan berbasis tingkat keparahan menuju prioritisasi berbasis risiko.

Buletin Menjadi Senyap, Menurut CISA

CISA mengatakan Vulnerability Bulletin mingguan akan berakhir pada 28 September 2026, sebagai bagian dari peralihannya dari manajemen kerentanan berbasis tingkat keparahan ke apa yang disebutnya sebagai pendekatan modern berbasis risiko. Lembaga tersebut mengaitkan perubahan ini dengan Binding Operational Directive 26-04, yang memprioritaskan kerentanan menggunakan faktor risiko dunia nyata, termasuk bukti eksploitasi dan paparan, bukan hanya skor tingkat keparahan.

Itulah kalimat pentingnya, bukan karena CVSS tidak berguna, tetapi karena CVSS tanpa konteks pada dasarnya adalah laporan cuaca untuk gedung milik orang lain. The Register melaporkan bahwa CISA mengumumkan perubahan ini pada hari Rabu dan membingkainya sebagai format lama yang dihentikan seiring pergeseran lembaga tersebut yang lebih luas menjauh dari penilaian CVSS yang statis. Ini bukan berarti CISA mengatakan pengungkapan kerentanan tidak lagi penting, yang akan sama “menawannya” seperti alarm asap tanpa baterai. Yang dikatakannya adalah rangkuman mingguan bukan lagi prinsip pengorganisasian terbaik untuk tindakan. Daftar angka-angka menakutkan bukanlah strategi remediasi.

Mengapa Mengejar Skor Tidak Lagi Berfungsi, Menurut The Register

The Register mencatat bahwa Binding Operational Directive 26-04 memberi arahan kepada lembaga sipil federal yang tercakup untuk memprioritaskan pembaruan keamanan berdasarkan risiko dunia nyata, bukan memperlakukan semua kerentanan dan sistem secara setara. Perbedaan inilah yang membuat manajemen kerentanan berhenti menjadi pekerjaan administratif dan mulai menjadi rekayasa keamanan.

CVSS dapat memberi tahu Anda bahwa sebuah celah secara teknis parah, tetapi tidak dapat memberi tahu apakah sistem yang terdampak terekspos, apakah ada orang yang sedang mengeksploitasi bug tersebut, atau apakah aset yang rentan itu penting bagi operasi organisasi Anda. Begitulah tim akhirnya menambal celah tingkat keparahan tinggi yang dramatis pada sistem internal bernilai rendah, sementara kerentanan yang sudah dieksploitasi pada layanan yang terekspos duduk dalam antrean, diam-diam audisi untuk respons insiden. Para pelaku ancaman, sebagai kelompok, tidak tersentuh oleh rasa keadilan. Mereka tidak membagi perhatian secara merata di seluruh backlog Anda seperti manajer proyek kecil yang kacau. Mereka mengikuti akses, kemudahan eksploitasi, paparan, dan imbalan.

Apa Pengganti Ritual Mingguan Itu, Menurut OffSeq

Threat Radar dari OffSeq merangkum model pasca-buletin seperti ini: kerentanan yang baru dicatat tetap tersedia melalui CVE.org, sementara pengguna didorong untuk mengandalkan Known Exploited Vulnerabilities Catalog, CISA Cybersecurity Alerts and Advisories, serta peringatan keamanan dari vendor untuk pembaruan yang lebih dapat ditindaklanjuti. Dengan kata lain, umpan data mentahnya masih ada, tetapi sinyal triase diharapkan memiliki bobot lebih besar.

Di sinilah kopi pagi tim keamanan digantikan oleh korelasi, inventaris aset, dan suara samar seseorang yang bergumam pada sistem tiket. Jai Vijayan dari Dark Reading juga melaporkan bahwa langkah CISA konsisten dengan saran lembaga tersebut agar organisasi memprioritaskan kerentanan yang benar-benar penting. Frasa itu seharusnya dicetak di atas setiap antrean patch. Alur kerja yang berguna bukanlah tingkat keparahan saja, lalu panik, lalu kerja heroik di akhir pekan. Melainkan paparan ditambah bukti eksploitasi ditambah dampak organisasi, lalu urgensi remediasi.

Apa Arti Sebenarnya Bagi Anda, Menurut Dark Reading

Bagi tim keamanan, pelajaran praktis dari pergeseran CISA sederhana: berhenti memperlakukan setiap CVE tingkat keparahan tinggi seolah-olah semuanya punya pelindung alur cerita yang sama. Mulailah dari kerentanan yang diketahui sedang dieksploitasi, terutama ketika aset yang terdampak terekspos. Berikutnya, pertimbangkan apakah aset tersebut mendukung layanan kritis, data sensitif, sistem identitas, atau apa pun yang jika gagal akan membuat pimpinan menemukan nama Anda. Lalu gunakan skor tingkat keparahan sebagai bukti pendukung, bukan sebagai satu-satunya hakim dengan palu kecil.

Itu bukan berarti mengabaikan skor sedang atau tinggi yang belum memiliki bukti eksploitasi saat ini. Artinya adalah membangun program patching yang dapat menjelaskan pilihannya tanpa menunjuk ke sel merah dalam spreadsheet dan berbisik, lihatlah. Terus pantau bagaimana CISA mengoperasionalkan BOD 26-04, dan perbarui proses manajemen kerentanan Anda agar dapat menyerap entri KEV, peringatan, advisori vendor, data paparan, dan konteks aset. Masa depan bukanlah CVE yang lebih sedikit. Masa depan adalah triase yang lebih baik, karena internet tetap merupakan proyek kelompok dan beberapa pesertanya sedang mengunyah kabel.